ハッキングされたWordPressサイトを手動で復旧できない理由とは？専門家が解説

自分のサイトがハッキングされたと気づいた瞬間、それは悪夢の始まりです。一度侵入を許してしまうと、ハッカーはサーバーリソースを勝手に使い、訪問者を別のサイトへ不正リダイレクトさせたり、バックドアを仕込んだりと、さまざまな悪行を行います。サイトへの影響は計り知れないため、セキュリティの専門家は「ハッキングされたら直ちに駆除作業を行うこと」を強く推奨しています。

ところで、多くのWordPressサイト運営者の間には「ハッキングされたサイトなら手動でも掃除できる」という考え方が根強くあります。ここで疑問が生じます。もし手動での駆除が簡単なのであれば、なぜこれほど多くのマルウェア除去サービスが存在するのでしょうか？　サイトオーナーがプロのクリーニングサービスを利用するのは、単に時間がないからだけなのでしょうか？

私たちは長年WordPressコミュニティに関わってきた中で、ここ数年のハッカーの手口の進化を目の当たりにしてきました。今日のハッカーはかつてよりはるかに巧妙です。彼らはサイトのセキュリティを突破するだけでなく、人が探しても見つけられない場所にマルウェアを隠すという革新的な手法を使います。さらに、新しく複雑化したマルウェアの出現により、手動での発見・駆除はますます難しくなっています。

なぜ現代では手動での駆除が通用しないのかを理解するには、過去を振り返る必要があります。この記事では、かつてどのように手動クリーンアップが行われていたのか、そしてその方法がなぜ時代遅れになったのかを解説します。

昔ながらのハッキング対応：スキャンと駆除のやり方

かつて、ハッカーがマルウェアを隠せる場所は限られていました。その代表格がWordPressコアファイルです。当時、手動でサイトを掃除しようとする人は、既知の場所をくまなく調べて悪意のあるコードを探し、見つければWordPressコアをアンインストールして再インストールする、というのが最も簡単な対処法でした。

当時の手動駆除が比較的容易だったのは、ハッカーの攻撃対象が限られた箇所だけだったからです。しかし現在、ハッカーは進化を遂げ、ウェブサイトのあらゆる場所にマルウェアを隠せるようになっています。

昔のスキャナーも同様の仕組みでした。マルウェアがよく潜むいくつかの場所をチェックし、悪意のあるコードのリストと照合して、一致すれば警告を発するというものです。

また、WordPressプラグインには無料と有料があります。無料期間限定のプラグインは、継続利用するにはアップグレードが必要です。多くの有料プラグインのファイルは保護されているため、スキャナーが正確にスキャンできないことがあります。

さらに厄介なことに、マルウェアがプラグインに偽装しているケースもあります。一見すると普通のWordPressプラグインにしか見えないため、手動で探している人間には発見できません。

手動でのマルウェア検出はほぼ不可能

ここからは、一般的に行われている手動検出の手法と、それぞれの落とし穴について詳しく見ていきましょう。

1. 悪意あるコードとの照合

手動でマルウェアを見つける方法の一つが、有名な悪意あるコードのリストを作成し、サイト内を検索することです。「eval」や「base64_decode」などのコードが存在すれば、それはWordPressサイトが侵害された典型的なサインとされています。

一見シンプルで有効な方法に思えますが、決して万全ではありません。実はevalやbase64_decodeといったコードは、正規のプラグインにも含まれていることがあるのです。つまり、これらのコードが見つかったからといって、必ずしもサイトが侵害されたとは言い切れません。

2. コードの難読化（オブフスケーション）

今日のハッカーは非常に独創的です。変わり続けるWordPressの環境に適応するだけでなく、サイトへの侵入とアクセス維持のための新しい手法を次々と開発しています。悪意あるコードを隠すために、コードの見た目を変える無数のパターンを生成するのです。そのため、特に手動で調査している場合、悪質なコードを見つけるのは極めて困難になります。

こうした悪質なコードを見つけて駆除することが重要であることはもちろんですが、手動での検出・駆除は最も効率的な方法とは言えません。MalCareのようなセキュリティプラグインは、こうした隠された複雑なマルウェアを検出できるように設計されています。

3. 最近更新されたファイルの確認

ファイルの最近の変更に注意を払うことで、異常な変更を検出できます。サイトが侵害されると、ハッカーはファイルに何らかの変更を加えます。最終更新日を記録しておけば、自分が行ったものではない不審な変更を発見でき、セキュリティ侵害の兆候をつかめるかもしれません。

しかし、この方法の弱点は、ハッカーがファイルのタイムスタンプを改ざんできる点です。今日のハッカーは大規模サイトか小規模サイトかを区別しません。多くのハッカーは、自らの悪事のためにサイトのリソースを利用する目的で侵入してきます。彼らはサイトオーナーに気づかれないよう綿密な対策を講じており、発見を逃れるためにタイムスタンプを書き換えるのです。

手動クリーンアップが抱える数々の課題

マルウェアの特定は、ハッキングされたサイトを取り戻すための第一歩にすぎません。第二段階は、サイトからマルウェアを取り除くことです。手動で可能だと考える人もいますが、スキャンと同様、手動での駆除もほぼ不可能な作業です。ここでは、手動でWordPressサイトの駆除を試みる際に直面しがちな問題を紹介します。

バックアップからの復元では完全にきれいにならない

バックアップの取得は、基本的なセキュリティ対策の一つです。サイトに何かが起きたとき、バックアップを復元すればすぐにサイトを再稼働できます。しかし、よくある誤解とは裏腹に、単純にバックアップを復元するだけでは、ハッキングされたサイトをきれいにすることはできません。なぜでしょうか？　詳しく掘り下げてみましょう。

復元後も感染ファイルはすべて消えない

サイトがハッキングされると何が起こるのでしょうか？　一見取るに足らないあなたのサイトが狙われるのは、ハッカーがサイトのリソースを利用して膨大な数のファイルを保管したいからである可能性が高いです。サイトが突破されると、ハッカーは何度でもアクセスできるようバックドアを作成します。その結果、ハッキング後のサイトには2種類のファイルが存在することになります。一つはあなたのファイル、もう一つはハッカーが仕込んだファイルです。バックアップを復元すると自分のファイルは置き換わりますが、ハッカーがアップロードしたファイルは残ったままです。つまりサイトは脆弱な状態のまま放置されることになります。バックアップの復元ではバックドアを排除できないため、ハッカーは再び戻ってきて、サイトは二度と侵害されてしまうのです。

バックアップ自体が感染している可能性

ハッカーはサイトが侵害されたことを隠蔽するよう努めるため、ハッキングに気づくまでに数週間かかることも珍しくありません（ただし、極めて警戒を怠らなければ、自動マルウェアスキャナーを利用すればこの状況は回避できます）。この間、利用中のバックアップサービスは感染したファイルをバックアップし続けています。ハッキングに気づいた時点で、手元にあるのは感染済みのバックアップばかり。それらを復元しても意味がありません（BlogVaultのように最大365日分のバックアップにアクセスできるサービスの利用をおすすめします）。つまり、バックアップの復元による駆除は選択肢になり得ないのです。

データ損失のリスクも見逃せない

もう一点触れておきたいのは、復元によってデータ損失が発生しうることです。具体例を挙げましょう。あなたの美しいWordPressサイトが1ヶ月前にハッキングされたとします。あなたは活発なブロガーで、毎日新しいコンテンツを追加してきました。侵害に気づいた時点で投稿を停止し、幸いにも侵入日を特定できたとしましょう。さらにバックアップサービスが6ヶ月〜1年分の日次バックアップを保持していれば、ワンクリックで復元できるクリーンなバックアップがあるはずです。

しかし問題は、1ヶ月前のバックアップを復元すれば、その間に追加した最新のデータがすべて失われることです。これは特にWooCommerceサイトにとって深刻な問題です。重要な顧客データを失えば、ビジネスに甚大な被害をもたらしかねません。

以上のように、サイトの手動クリーンアップは極めて非効率です。だからこそ、セキュリティプラグインの活用こそが、WordPressサイトのスキャンと駆除における最善策なのです。MalCareを利用すれば、定期的なマルウェアスキャン、ワンクリックでのハッキングサイトの駆除、そして一般的な攻撃への予防措置まで、すべてを自動化できます。ぜひ、当社のWordPressセキュリティプラグインが提供する多彩な機能をご確認ください。

MalCareでサイトからマルウェア＆ウイルスを一掃しましょう。